sysmon+nxlog监控win下磁盘文件变化

# 下载地址https://download.sysinternals.com/files/Sysmon.zip# 安装Sysmon64.exe  -accepteula -i <configfile> # 指定配置文件安装# 修改配置Sysmon64.exe -c <configfile> # 修改为默认配置sysmon64.exe  –c -- # 修改配置信息为默认配置# 卸载 Sysmon64.exe -u 

 ProcessCreate            进程创建 FileCreateTime           文件创建时间更改 NetworkConnect           检测到网络连接 ProcessTerminate         进程终止 DriverLoad               驱动程序已加载 ImageLoad                镜像加载 CreateRemoteThread       已检测到创建远程线程 RawAccessRead            检测到原始访问读取 ProcessAccess            已访问的进程 FileCreate               文件创建 RegistryEvent            添加或删除注册表对象 RegistryEvent            注册表值设置 RegistryEvent            注册表对象已重命名 FileCreateStreamHash     已创建文件流 PipeEvent                管道创建 PipeEvent                管道已连接 WmiEvent                 检测到WmiEventFilter活动 -- WmiEventFilter activity detected WmiEvent                 检测到WmiEventConsumer活动 -- WmiEventConsumer activity detected WmiEvent                 检测到WmiEventConsumerToFilter活动 -- WmiEventConsumerToFilter activity  DnsQuery                 DNS查询 

 # 输入端sysmon事件日志 <Input in>    Module im_msvistalog    ReadFromLast    True    Query <QueryList> <Query Id="0"> <Select Path="Microsoft-Windows-Sysmon/Operational">*</Select> </Query></QueryList> </Input>
# 输出端tcp服务接收 <Output out>     Module      om_tcp     Host        127.0.0.1     Port        514 </Output>
 <Route 1>     Path        in => out </Route>

package main
import (  "bufio"  "fmt"  "log"  "net")
func main() {  listen, err := net.Listen("tcp", "127.0.0.1:514")  if err != nil {    log.Fatal(err)  }    for {    accept, err := listen.Accept()    if err != nil {      log.Fatal(err)    }    scanner := bufio.NewScanner(accept)    for scanner.Scan() {      fmt.Println(scanner.Text())    }  }}
# 生成可执行文件go build -o sysmonview.log# 运行程序sysmonview.exe